La loi révisée sur la protection des données (LPD) s’applique avec l’ordonnance sur la protection des données (OPDo) depuis le 1er septembre 2023 (art. 74 LPD, art. 47 OPDo). Deux questions pratiques se posent aux PME : notre entreprise doit-elle tenir un registre des activités de traitement, et quand nous faut-il une analyse d’impact relative à la protection des données personnelles (AIPD) ? Ce guide répond aux deux d’après le texte de loi, présente les mesures techniques et organisationnelles comme base commune et montre sur un exemple comment procéder.
Le registre des activités de traitement selon l’art. 12 LPD
Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement (art. 12, al. 1, LPD). Le responsable du traitement détermine, seul ou conjointement avec d’autres, les finalités et les moyens du traitement ; le sous-traitant traite des données personnelles pour son compte (art. 5, let. j et k, LPD). Le registre du responsable contient au moins les indications suivantes (art. 12, al. 2, LPD) :
- l’identité du responsable du traitement
- la finalité du traitement
- une description des catégories de personnes concernées et des catégories de données personnelles traitées
- les catégories de destinataires
- dans la mesure du possible, le délai de conservation ou les critères pour le déterminer
- dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l’art. 8 LPD
- en cas de communication à l’étranger, le nom de l’État concerné et les garanties prévues à l’art. 16, al. 2, LPD
Le registre du sous-traitant est plus bref : il indique l’identité du sous-traitant et du responsable, les catégories de traitements effectués pour le compte du responsable, les mesures de sécurité des données et la communication à l’étranger (art. 12, al. 3, LPD). Un exemple de collaboration avec des prestataires externes figure dans le guide Collaboration avec la fiduciaire. Les entreprises privées ne déclarent pas leur registre au Préposé fédéral à la protection des données et à la transparence (PFPDT) ; cette obligation ne touche que les organes fédéraux (art. 12, al. 4, LPD).
Qui est dispensé de l’obligation
L’art. 12, al. 5, LPD charge le Conseil fédéral de prévoir des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité d’atteinte à la personnalité. L’OPDo l’applique à l’art. 24 : les entreprises et autres organismes de droit privé employant moins de 250 collaborateurs au 1er janvier d’une année, ainsi que les personnes physiques, sont déliés de l’obligation de tenir un registre. La dispense ne s’applique pas si l’une des deux conditions est remplie : le traitement porte sur des données sensibles à grande échelle, ou il constitue un profilage à risque élevé.
Sont sensibles, selon l’art. 5, let. c, LPD, par exemple les données sur la santé, sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, les données génétiques, les données biométriques identifiant une personne physique de manière univoque, les données sur des poursuites ou sanctions pénales et administratives ou les données sur des mesures d’aide sociale. L’ordonnance ne dit pas à partir de quelle quantité il y a « grande échelle » ; vous devez en juger au cas par cas. Le PFPDT décrit l’obligation de la même façon, mais fixe le seuil à « plus de 250 collaborateurs ». Pour exactement 250 personnes employées, le texte de l’ordonnance fait foi : seules les entreprises de moins de 250 sont dispensées. Une entreprise dispensée doit respecter les autres dispositions, par exemple les devoirs de renseigner et d’informer.
Qui traite des données sensibles à grande échelle ou procède à un profilage à risque élevé doit en outre établir un règlement de traitement pour les traitements automatisés (art. 5 OPDo). Même sans obligation, un registre prouve que vous connaissez vos traitements ; cette recommandation relève de la pratique, non de la loi.
Mesures techniques et organisationnelles
Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru (art. 8, al. 1, LPD). L’ordonnance le concrétise : vous établissez d’abord le besoin de protection et évaluez le risque, puis déterminez les mesures (art. 1 OPDo), réévaluées pendant toute la durée du traitement et, au besoin, adaptées (art. 1, al. 5, OPDo). Elles visent quatre objectifs : confidentialité, disponibilité, intégrité et traçabilité (art. 2 OPDo). L’art. 3 OPDo donne des exemples : contrôle de l’accès aux données et aux locaux, restauration rapide des données après un incident, systèmes à jour en matière de sécurité et possibilité de vérifier quelles données sont saisies ou modifiées, par qui et à quel moment.
L’analyse d’impact relative à la protection des données
Le responsable du traitement procède au préalable à une AIPD lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 22, al. 1, LPD). L’existence d’un risque élevé, en particulier lors du recours à de nouvelles technologies, dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement ; il existe notamment en cas de traitement de données sensibles à grande échelle et de surveillance systématique de grandes parties du domaine public (art. 22, al. 2, LPD). Plusieurs opérations semblables peuvent faire l’objet d’une analyse commune.
L’AIPD contient une description du traitement envisagé, une évaluation des risques et les mesures de protection (art. 22, al. 3, LPD). Le PFPDT la décrit comme un instrument pour identifier, évaluer et traiter les risques ; le risque résiduel est décisif à la fin. Le responsable du traitement privé est délié de cette obligation s’il est tenu d’effectuer le traitement en vertu d’une obligation légale (art. 22, al. 4, LPD) ; il peut en outre y renoncer lorsqu’il recourt à un système, un produit ou un service certifié pour l’utilisation prévue, ou qu’il respecte un code de conduite qui repose sur une AIPD, prévoit des mesures de protection et a été soumis au PFPDT (art. 22, al. 5, LPD).
Si, malgré les mesures, un risque élevé subsiste, le responsable consulte préalablement le PFPDT (art. 23, al. 1, LPD). Celui-ci communique ses objections dans un délai de deux mois ; ce délai peut être prolongé d’un mois pour un traitement complexe (art. 23, al. 2, LPD). Le responsable privé peut renoncer à consulter le PFPDT s’il a consulté son conseiller à la protection des données (art. 23, al. 4, LPD), pour autant que celui-ci exerce sa fonction de manière indépendante et sans instruction, n’exerce pas de tâches incompatibles, dispose des connaissances professionnelles nécessaires et que ses coordonnées soient publiées et communiquées au PFPDT (art. 10, al. 3, LPD). L’AIPD est conservée pendant au moins deux ans après la fin du traitement (art. 14 OPDo).
Demandes d’accès et délai de 30 jours
Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées (droit d’accès, art. 25, al. 1, LPD) ; les renseignements sont fournis gratuitement (art. 25, al. 6, LPD, sous réserve d’exceptions). Selon l’art. 18 OPDo, ils sont fournis dans les 30 jours suivant la réception de la demande. S’il ne peut respecter ce délai, le responsable en informe la personne en indiquant le délai de réponse. Qui refuse, restreint ou diffère l’accès doit le communiquer dans le même délai.
Exemple pratique : Muster Spitex AG
La Muster Spitex AG est une entreprise fictive de 120 collaborateurs au 1er janvier 2026. Elle est sous le seuil de 250, mais traite des données de santé de ses clients. Savoir si c’est « à grande échelle » n’est pas tranché définitivement ; par précaution, la direction ne se prévaut pas de la dispense et tient un registre. Il comprend quatre activités de traitement :
| Activité | Personnes concernées | Catégories de données | Sensibles | Conservation |
|---|---|---|---|---|
| Documentation des soins | Clientes, clients | Données de base, données de soins | oui (santé) | selon les règles applicables, à clarifier par l’entreprise |
| Planification des interventions | Collaborateurs | Données de base, temps d’intervention | non | tant que dure le rapport de travail |
| Décompte des salaires | Collaborateurs | Données de base, données salariales | non | selon les délais légaux |
| Candidatures | Candidats | Dossiers de candidature | non | trois mois après la clôture (interne) |
À l’automne 2026, elle prévoit un logiciel qui estime le risque de chute des clients à partir des données de soins : évaluation automatisée d’aspects de la santé (profilage selon l’art. 5, let. f, LPD), nouvelle technologie et traitement à grande échelle de données sensibles ; une AIPD est nécessaire. Avec cette évaluation au plus tard, l’entreprise traite des données sensibles à grande échelle : la dispense selon l’art. 24 OPDo tombe, et un règlement de traitement est requis pour le traitement automatisé (art. 5 OPDo). L’évaluation étant facultative, l’exception pour les traitements imposés par la loi (art. 22, al. 4, LPD) ne joue pas. L’analyse évalue trois risques sur une échelle de 1 à 4 pour la probabilité et la gravité. Les niveaux sont une définition propre à l’exemple, non un étalon légal : faible jusqu’à 3, moyen de 4 à 7, élevé dès 8.
| Risque | Avant | Mesure | Après |
|---|---|---|---|
| Une erreur d’appréciation entraîne des mesures inadaptées | 2 × 3 = 6 | Pronostic comme simple indication, décision de la personne soignante consignée | 1 × 3 = 3 |
| Accès non autorisé aux évaluations | 3 × 3 = 9 | Accès par rôles, journalisation | 2 × 3 = 6 |
| Accès du support du fabricant depuis l’étranger | 2 × 4 = 8 | Accès sur demande seulement, garanties contractuelles selon l’art. 16, al. 2, LPD | 1 × 4 = 4 |
Le risque résiduel le plus élevé est 6, donc moyen. La direction conclut qu’aucun risque élevé ne subsiste au sens de l’art. 23, al. 1, LPD, consigne la décision motivée ; l’avis du PFPDT n’est pas nécessaire. Le support du fabricant est inscrit au registre comme communication à l’étranger, avec l’État et la garantie. Le lundi 9 novembre 2026 arrive en outre une demande d’accès d’un client ; le délai de 30 jours court jusqu’au mercredi 9 décembre 2026.
Checklist
- Vérifié si la dispense selon l’art. 24 OPDo s’applique (collaborateurs au 1er janvier, données sensibles, profilage)
- Activités de traitement saisies : finalité, catégories, destinataires, conservation, communication à l’étranger
- Mesures de sécurité des données décrites et régulièrement vérifiées
- Registre harmonisé avec les sous-traitants
- Avant de nouveaux systèmes, nécessité d’une AIPD vérifiée et résultat consigné
- En cas de risque résiduel élevé : avis du PFPDT demandé ou conseiller à la protection des données consulté selon l’art. 10 LPD
- AIPD conservée au moins deux ans après la fin du traitement
- Procédure pour les demandes d’accès avec délai de 30 jours fixée
La solution KMU | base
QMS | base traite les sujets de protection des données sous Exploitation et preuves › Protection des données. La zone est liée à un droit propre. Le logiciel précise que délais, seuils et critères sont des valeurs de QMS | base et ne remplacent pas une appréciation juridique du cas d’espèce.
1. Registre des activités de traitement. Vous tenez le registre selon la LPD avec finalité, catégories de données, destinataires, communication à l’étranger, conservation et intervalle de vérification, en tableau (Excel) et en PDF. Le logiciel signale les indications obligatoires manquantes. Une entrée n’est active que si finalité, catégories et conservation sont saisies ; pour la conservation, il exige donc plus que l’art. 12, al. 2, let. e, LPD (« dans la mesure du possible »). Il ne vérifie pas automatiquement si votre entreprise est dispensée selon l’art. 24 OPDo.
2. Mesures techniques et organisationnelles. Vous tenez vos mesures avec statut et date de vérification, et les reliez aux traitements.
3. Analyse d’impact relative à la protection des données. Vous évaluez d’abord le risque dans un examen préalable avec critères, évaluez risques et mesures et voyez, en cas de risque résiduel élevé, l’avis de vérifier la consultation de l’autorité de surveillance. L’approbation suit le principe des quatre yeux. Les critères de l’examen préalable et les seuils de la matrice des risques sont des valeurs propres à QMS | base ; c’est le responsable qui décide si une AIPD est nécessaire. Le logiciel ne surveille pas la conservation de l’AIPD.
4. Demandes des personnes concernées avec délais. Vous saisissez les demandes d’accès, de rectification et d’effacement avec un identifiant librement choisi, sans nom ni coordonnées, surveillez le délai et recevez un rappel quotidien. Le délai interne est de 30 jours dès réception et peut être prolongé avec motivation. Pour l’accès, cela correspond à l’art. 18 OPDo ; pour les autres demandes, c’est une valeur de QMS | base.
Vous voulez l’essayer vous-même ? Consultez la démo ou ouvrez un compte d’essai. Vous trouverez les conditions actuelles sous Tarifs ; pour toute question, la page de contact vous aide.
Sources
- Loi fédérale sur la protection des données (LPD, DSG, RS 235.1), art. 5, 8, 10, 12, 16, 22, 23, 25 et 74, état au 7 juillet 2025 : fedlex.admin.ch, consulté le 27.10.2026.
- Ordonnance sur la protection des données (OPDo, DSV, RS 235.11), art. 1–3, 5, 14, 18, 24 et 47, état au 1er décembre 2025 : fedlex.admin.ch, consulté le 27.10.2026.
- PFPDT : FAQ Protection des données, section Registre des traitements, page sans indication de date, consultée le 27.10.2026.
- PFPDT : Analyse d’impact relative à la protection des données personnelles, page sans indication de date, consultée le 27.10.2026.
Ce guide ne remplace aucun conseil juridique ou fiscal. État des informations : 27.10.2026.